AD Zertifikatdienste - Problem mit Sperrlisten bei Zertifikaten für RDP
Frage
-
Hallo!
Ich habe ein Problem mit der Absicherung von RDP Sitzungen über selbst erstellte Zertifikate auf einem bzw. mehreren Servern 2008R2. Den Werdegang beschreibe ich so kurz wie möglich:
- in einer Windows Server 2008R2 Domäne habe ich auf einem Server die AD Zertifikatdienste installiert und eine Stammzertifizierungsstelle für die Domäne angelegt
- dann habe ich eine Zertifikatvorlage zur Serverauthentifizierung erstellt und diese per GPO einem Testserver als Zertifikat für RDP Sitzungen mitgegeben ("Zertifikatvorlage für Serverauthentifizierung")
- nach Anwendung der GPO auf dem Testserver wird das Zertifikat auch korrekt ausgestellt und bei einem RDP Verbindungsversuch verwendet
- wenn ich mich jedoch nun von außerhalb (mittels VPN oder RD Gateway [der tadellos mit seinem Zertifikat funktioniert]) auf den Testserver verbinden möchte, erhalte ich den Fehler "Es konnte keine Sperrprüfung für das Zertifikat durchgeführt werden."
Ich verwende dazu einen PC mit Windows 8.1 und wenn ich die URL der Sperrliste in meinem Browser aufrufe, wird sie problemlos heruntergeladen. Hier verwende ich die URL, die ich im Zertifikat finde, welches mir in der Warnung angezeigt wird (siehe Screenshot). Auch certutil zeigt keine für mich sichtbaren Probleme. In den Zertifikatdiensten ist entsprechend die Veröffentlichung per HTTP aktiviert und auch von außen anonym erreichbar.
Im Knoten Unternehmens-PKI der Zertifikatdienste sind die Sperrlisten und die Delta Sperrliste mit dem Status "OK" und jeweils einer LDAP und der HTTP Adresse aufgeführt. Das Root Zertifikat meiner Stammzertifizierungsstelle liegt im Ordner "Vertrauenswürdige Stammzertifizierungsstellen" des lokalen Windows 8.1 Computers. Auch die Zertifikatkette stimmt, das Server Zertifikat ist ein Knoten unterhalb des Root Zertifikats.
Ich könnte noch weitere Details nennen, will aber erst einmal keine überflüssigen Informationen geben da ich mein Wissen zu diesem Thema auch nur aus Foren und Tutorials habe. Über Hilfe zu diesem Problem wäre ich sehr dankbar und kann gern weitere Details und Infos geben. Natürlich ist das derzeit nur ein "Schönheitsfehler" der ignoriert werden kann wonach die RDP Verbindung auch funktioniert. Jedoch wäre eine saubere Lösung natürlich schön.
Vielen Dank!
- Bearbeitet Daniel Drewitz Sonntag, 16. März 2014 23:29 Schönheitsfehler
Alle Antworten
-
neue Sperrlisten werden erst angefordert, wenn die Liste im Client-Cache abgelaufen ist. Falls Du eine zeinahe Prüfung benötigst, musst Du einen Online Responder verwenden.
Alles klar. Das ist dann vollkommen ok so, schnellere Prüfungen sind nicht erforderlich.
Das Problem mit dem Massenrollout von Zertifikaten lässt sich durch Abschalten vom auto enrollment lösen. Der empfohlene Weg ist es, den Computern die Berechtigung 'Registieren' zu geben. Die GPO 'Zertifikatsvorlage ...' sorgt dafür, dass sich der RDS Host rechtzeitig ein neues Zertifikat holt.
Ich hatte die Verteilung nach der Anleitung unter dem ersten Link (Part I) vorgenommen. Auto Enrollment ist nicht aktiviert. Untedessen konnte ich noch einen Fehler beseitigen, der im Anwendungslog des btroffenen Servers bei jeder Richtlinienüberprüfung zu Warnungen führte: dort waren noch unterdessen abgelaufene Zertifikate der CA im Speicher. Diese habe ich gelöscht und dann waren zumindest die Warnungen weg.
Jedoch bezieht der Server leider noch immer im 5 Minuten Takt ein neues Zertifikat. Im Ereignislog tritt dann stets das Event Tripel 65, 19 und 66 der Quelle CertificateServicesClient-CertEnroll auf:
- 65: Die Zertifikatregistrierung für Lokales System wurde vom Richtlinienserver {...} [hier kein FQDN?] erfolgreich authentifiziert.
- 19: Von der Zertifikatregistrierung für Lokales System wurde ein Zertifikat RemoteDesktopComputer [das ist die kopierte Vorlage aus der Anleitung] mit der Anforderungs-ID XY von der Zertifizierungsstelle ...\TEK CA erfolgreich empfangen.
- 66: Die Zertifikatregistrierung für Lokales System wurde vom Registrierungsserver ...\TEK CA erfolgreich authentifiziert.
Nur ein Server und möglicherweise auch ein Client machen diese Probleme. Der Server hat bereits hunderte Zertifikate angefordert und ausgestellt bekommen (siehe Screenshot des Protokollausschnitts). Alle anderen verhalten sich "gesittet" und fordern ihr Zertifikat nur einmal an. Deaktiviere ich jedoch die GPO für die RDP Vorlage, springen alle Geräte der OU in kürzester Zeit wieder auf ihre selbstsignierten Zertifikate zurück. Damit ist dann auch wieder keinem geholfen.
Wenn ich die GPO für die betroffenen Geräte deaktiviert lasse und das Zertifikat manuell in den RDP-TCP Einstellungen des RDS Hosts setze, bliebe es dann dauerhaft bestehen?Das Anwendungs- und Systemlog des betroffenen Geräts ist sonst sauber. Hättet ihr noch eine Idee, wo ich der Sache weiter auf den Grund gehen könnte? Ein plumper Server Neustart hat natürlich auch nichts bewirkt.
Danke!
